Efter 11 måneder med udvikling af konsortiet ISC den første stabile udgivelse af den nye betydelige version af DNS-server BIND 9.16. Understøttelsen af version 9.16 vil blive håndteret i tre år frem til 2. kvartal 2023 som en del af en forlænget supportcyklus. Opdateringer til den tidligere LTS-version 9.11 vil fortsætte med at blive udgivet indtil december 2021. Understøttelsen af version 9.14 vil ophøre om tre måneder.
Vigtige :
- KASP (Key and Signing Policy) er blevet tilføjet, en forenklet metode til styring af nøgler og digitale signaturer for DNSSEC, baseret på de regler, der defineres ved hjælp af direktivet «dnssec-policy». Dette direktiv gør det muligt at konfigurere generationen af de nødvendige nye nøgler til DNS-zoner samt automatisk anvendelse af nøglerne ZSK og KSK.
- Netværkssystemet er blevet væsentligt omarbejdet og er nu baseret på en mekanisme til asynkron behandling af forespørgsler, implementeret ved hjælp af biblioteket .
Omarbejdningen har endnu ikke resulteret i synlige ændringer, men i fremtidige udgivelser vil det muliggøre nogle betydelige performanceoptimeringer og tilføje støtte til nye protokoller, såsom DNS over TLS. - Processen til håndtering af DNSSEC tillidsanker (Trust anchor, den offentlige nøgle knyttet til zonen for autencitet af denne zone) er forbedret. I stedet for de nu forældede indstillinger trusted-keys og managed-keys er en ny direktiv trust-anchors blevet foreslået, som gør det muligt at styre begge typer nøgler.
Når der bruges trust-anchors med nøgleordet initial-key, er adfærden af dette direktiv identisk med managed-keys, dvs. det definerer indstillingen af tillidsankeret i henhold til RFC 5011. Når trust-anchors bruges med nøgleordet static-key, svarer adfærden til direktivet trusted-keys, dvs. det definerer en permanent nøgle, der ikke opdateres automatisk. Derudover tilbydes der to ekstra nøgleord initial-ds og static-ds i trust-anchors, der muliggør brug af tillidsankre i formatet (Delegation Signer) i stedet for DNSKEY, hvilket muliggør konfiguration af ankre for endnu ikke offentliggjorte nøgler (i fremtiden planlægger IANA at bruge DS-formatet til nøgler vedrørende rodzoner).
- Der er tilføjet en mulighed «+yaml» i værktøjerne dig, mdig og delv for at udskrive i YAML-format.
- Til dig-nyttiggør er der tilføjet en option «+[no]unexpected», som tillader modtagelse af svar fra hosts, der adskiller sig fra den server, der blev til sendt forespørgslen.
- Til dig-nyttiggør er der tilføjet en option «+[no]expandaaaa», som når den er angivet viser IPv6-adresser i AAAA-posterne i den fulde 128-bit repræsentation, snarere end i RFC 5952 formatet.
- Muligheden for at skifte mellem grupper af statistikkanaler er blevet tilføjet.
- DS- og CDS-poster genereres nu kun på grundlag af SHA-256 hashes (generering baseret på SHA-1 er stoppet).
- For DNS Cookie (RFC 7873) er SipHash 2-4 algoritmen som standard aktiveret, mens HMAC-SHA supporten er stoppet (AES er forblevet).
- Output fra kommandoerne dnssec-signzone og dnssec-verify sendes nu til standard output (STDOUT), mens STDERR kun viser fejl- og advarselsmeddelelser (ved angivelse af optionen «-f» vises også den signerede zone). En option «-q» er blevet tilføjet til at undertrykke output.
- DNSSEC valideringskoden er blevet omarbejdet for at eliminere kode duplication med andre undersystemer.
- Biblioteket JSON-C kan nu kun bruges til output af statistik i JSON-format. Konfigurationsoptionen «—with-libjson» er blevet omdøbt til «—with-json-c».
- I configure-scriptet indstilles parameteren «—sysconfdir» ikke længere som standard til /etc, og «—localstatedir» til /var, medmindre parameteren «—prefix» er angivet. Som standard anvendes nu stierne $prefix/etc og $prefix/var, der anvendes i Autoconf.
- Koden med implementeringen af DLV (Domain Look-aside Verification, dnssec-lookaside option) er blevet fjernet, som blev erklæret forældet i BIND 9.12, og den relaterede håndteringsenhed dlv.isc.org blev lukket i 2017. Fjernelsen af DLV har gjort det muligt at forenkle BIND-koden.
Kilde: opennet.ru
